Yhdessä lauseessa: DORA-asetuksessa (EU) 2022/2554 ei ole GDPR:n tai NIS2:n kaltaista kiinteää seuraamusmaksukattoa – toimivaltaiset viranomaiset, Suomessa Finanssivalvonta, käyttävät 50 artiklan mukaisia valtuuksia kansallisen lainsäädännön puitteissa, kun taas kriittisiksi nimettyihin ICT-palveluntarjoajiin kohdistuu EU-tason valvontakehys, jossa päävalvoja voi määrätä uhkasakon 1 % keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta enintään kuuden kuukauden ajaksi.
Tämä on käytännön kartta siitä, kuka valvoo mitäkin ja mitä laiminlyönnistä seuraa. Kirjoitettu finanssialan compliance-vastaaville, jotka joutuvat perustelemaan DORA-budjetin hallitukselle. Kansallinen kokonaiskuva löytyy artikkelista DORA Suomessa.
Keskeiset huomiot
- DORA ei harmonisoi hallinnollisten seuraamusmaksujen määriä: 50 artiklan 4 kohta jättää ne jäsenvaltioiden lainsäädäntöön.
- Suomessa Finanssivalvonta käyttää tavanomaista seuraamusvalikoimaansa: rikemaksu, julkinen varoitus ja seuraamusmaksu.
- Kriittisiksi nimetyillä ICT-palveluntarjoajilla on oma EU-tason valvontakehys (31–44 art.) ja oma päävalvojansa.
- Päävalvojan tehokkain keino on uhkasakko: 1 % keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta, päivittäin, enintään kuusi kuukautta.
- Ääritilanteessa toimivaltainen viranomainen voi vaatia finanssitoimijaa keskeyttämään tai päättämään sopimuksen kriittisen palveluntarjoajan kanssa.
Kuka valvoo DORA:n noudattamista Suomessa?
46 artikla määrittää toimivaltaiset viranomaiset sektorikohtaisesti. Suomessa käytännössä kaikkien DORA:n soveltamisalaan kuuluvien finanssitoimijoiden – luottolaitosten, maksulaitosten, sähkörahayhteisöjen, sijoituspalveluyritysten, rahastoyhtiöiden, vakuutus- ja jälleenvakuutusyhtiöiden, vakuutusedustajien, kryptovarapalvelun tarjoajien ja muiden – valvonta kuuluu Finanssivalvonnalle.
Merkittävien luottolaitosten osalta valvonta tapahtuu yhteisen valvontamekanismin (SSM) kautta, jolloin Euroopan keskuspankki toimii toimivaltaisena viranomaisena. Käytännön yhteydenpito kulkee silti Finanssivalvonnan kautta.
Euroopan valvontaviranomaiset – EBA, ESMA ja EIOPA – toimivat yhteiskomiteassa, joka nimeää kriittiset ICT-palveluntarjoajat ja koordinoi niiden valvontaa. Tämä on DORA:n rakenteellisesti uusi elementti: sääntely ulottuu ensimmäistä kertaa suoraan finanssialan ulkopuolisiin teknologiatoimittajiin.
Mitä valtuuksia valvojalla on? (50 artikla)
50 artiklan 2 kohta antaa toimivaltaisille viranomaisille vähintään seuraavat valtuudet:
- oikeus saada pääsy asiakirjoihin ja tietoihin missä tahansa muodossa sekä saada niistä jäljennös;
- oikeus tehdä paikan päällä tehtäviä tarkastuksia ja tutkimuksia;
- oikeus vaatia korjaavia toimenpiteitä ja puutteiden korjaamista;
- oikeus antaa kielto- tai velvoitepäätöksiä lopettaa asetuksen vastainen menettely;
- oikeus antaa julkisia ilmoituksia rikkomuksesta ja siitä vastuussa olevasta henkilöstä.
50 artiklan 4 kohta jättää seuraamusten lajin ja määrän kansalliseen lainsäädäntöön. Suomessa Finanssivalvonnasta annetun lain (878/2008) mukaiset hallinnolliset seuraamukset ovat rikemaksu, julkinen varoitus ja seuraamusmaksu; niiden enimmäismäärät ja määräämisen edellytykset seuraavat kansallista sääntelyä, eivät DORA:a.
Seuraamusta mitoitettaessa 51 artiklan 2 kohta velvoittaa ottamaan huomioon rikkomuksen vakavuuden ja keston, vastuussa olevan tahon vastuun asteen, taloudellisen vahvuuden, rikkomuksesta saadut hyödyt ja aiheutetut tappiot, yhteistyöhalukkuuden viranomaisen kanssa sekä aiemmat rikkomukset.
52 artikla säilyttää jäsenvaltioiden oikeuden säätää lisäksi rikosoikeudellisista seuraamuksista, ja 54 artikla velvoittaa lähtökohtaisesti julkaisemaan hallinnolliset seuraamukset viranomaisen verkkosivustolla – julkisuus on usein raskaampi seuraus kuin maksu itse.
Mitä käytännössä sanktioidaan?
DORA:n valvonta kohdistuu asetuksen aineellisiin velvoitteisiin. Yleisimmät puutteet, jotka nousevat esiin valvonnassa:
| Velvoite | Tyypillinen puute |
|---|---|
| ICT-riskienhallinnan kehys (5–16 art.) | Kehys on olemassa mutta johto ei ole hyväksynyt sitä dokumentoidusti |
| Poikkeamien luokittelu ja ilmoittaminen (17–23 art.) | Merkittävyyskynnykset määrittelemättä, ilmoitus myöhässä |
| Testausohjelma (24–27 art.) | Kriittisiä järjestelmiä ei ole testattu vuosittain |
| Tietorekisteri (28 art. 3 kohta) | Rekisteri puutteellinen tai ei vastaa todellisia sopimuksia |
| Sopimusehdot (30 art.) | Vanhat sopimukset eivät sisällä pakollisia ehtoja |
Näistä tietorekisteri on se, jonka valvoja katsoo ensimmäisenä, koska se paljastaa muut puutteet kerralla. Rekisterin rakenne ja kentät on käyty läpi artikkelissa DORA-tietorekisteri ja sen malli, riskienhallinnan kehys artikkelissa DORA ja ICT-riskienhallinta ja testausvelvoite artikkelissa DORA-sietokykytestaus ja TLPT.
Kriittisten ICT-palveluntarjoajien valvontakehys (31–44 artikla)
DORA:n kunnianhimoisin osa on Oversight Framework, joka kohdistuu suoraan teknologiatoimittajiin.
Nimeäminen. Euroopan valvontaviranomaiset nimeävät yhteiskomitean kautta ICT-palveluntarjoajia kriittisiksi (critical ICT third-party service providers, CTPP) 31 artiklan kriteerien perusteella: palvelujen järjestelmällinen vaikutus rahoitusjärjestelmän vakauteen, palvelua käyttävien finanssitoimijoiden systeeminen merkitys, korvattavuus ja keskittymäriski. Käytännössä listalle päätyvät suurimmat pilvipalvelujen ja ydinpankkijärjestelmien toimittajat.
Päävalvoja. Kullekin nimetylle palveluntarjoajalle osoitetaan päävalvoja (Lead Overseer) – EBA, ESMA tai EIOPA sen mukaan, mihin sektoriin palveluntarjoajan asiakaskunta pääosin painottuu.
Valtuudet. 35 artikla antaa päävalvojalle oikeuden pyytää kaikkia tarvittavia tietoja ja asiakirjoja, tehdä yleisiä tutkimuksia, suorittaa tarkastuksia palveluntarjoajan tiloissa, pyytää raportteja toteutetuista korjauksista sekä antaa suosituksia ICT-riskienhallinnasta, alihankintaehdoista, tietoturvasta ja palvelujen keskittymisestä.
Uhkasakko. Jos palveluntarjoaja ei suostu tietopyyntöön, tutkimukseen tai tarkastukseen, päävalvoja voi määrätä uhkasakon, jonka määrä on 1 % edellisen tilikauden keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta. Uhkasakkoa määrätään päivittäin, kunnes velvoite täytetään, enintään kuuden kuukauden ajan. Tämä on DORA:n tehokkain yksittäinen pakotekeino, ja se kohdistuu palveluntarjoajaan – ei sen finanssialan asiakkaisiin.
Viimeinen keino. 42 artiklan nojalla toimivaltaiset viranomaiset voivat vaatia finanssitoimijoita keskeyttämään tai päättämään sopimuksensa sellaisen kriittisen palveluntarjoajan kanssa, joka ei noudata päävalvojan suosituksia. Tämä on ydinsyy siihen, miksi toimittajariippuvuuden ja irtautumisstrategian dokumentointi ei ole muodollisuus: sinä joudut vaihtamaan toimittajaa, vaikka rikkomus ei olisi sinun.
Miksi vastuu ei siirry toimittajalle
Yleisin väärinkäsitys, jonka kohtaan finanssialan projekteissa, kuuluu näin: “pilvitoimittaja on kriittinen palveluntarjoaja, joten valvoja katsoo sen suuntaan.” Näin ei ole. 28 artiklan 1 kohta säilyttää täyden vastuun finanssitoimijalla riippumatta ulkoistuksesta. Valvontakehys on lisäkerros, ei vastuunsiirto.
Käytännön johtopäätös: sinun on edelleen tunnettava toimittajasi, dokumentoitava sopimusehdot 30 artiklan mukaisesti, ylläpidettävä tietorekisteriä ja kyettävä irtautumaan. Rakenne muistuttaa GDPR:n rekisterinpitäjän ja käsittelijän sopimussuhdetta, jossa vastuu käsittelystä pysyy rekisterinpitäjällä, mutta DORA menee huomattavasti pidemmälle sopimusehtojen yksityiskohtaisuudessa ja irtautumissuunnitelmien vaatimuksessa. Pankkien käytännön näkökulma on koottu artikkeliin DORA pankeille.
Miten DORA-valvonta suhteutuu NIS2:een ja GDPR:ään?
| DORA | NIS2 | GDPR | |
|---|---|---|---|
| Valvoja Suomessa | Finanssivalvonta | Traficom / Kyberturvallisuuskeskus | Tietosuojavaltuutetun toimisto |
| Seuraamuskatto | Kansallinen laki | 10 M€ / 2 % tai 7 M€ / 1,4 % | 20 M€ / 4 % |
| Kolmansiin osapuoliin kohdistuva valvonta | Kyllä (CTPP-kehys) | Ei suoraan | Vain käsittelijän omat velvoitteet |
| Johdon henkilökohtainen vastuu | Kyllä (5 art.) | Kyllä (20 art.) | Välillinen |
Finanssitoimija voi joutua vastaamaan samasta tapahtumasta kolmelle viranomaiselle. Määräaikojen ja kynnysten erot on käyty läpi artikkeleissa häiriöilmoitukset DORA, NIS2 ja GDPR ja DORA vs NIS2; GDPR-puolen seuraamuslinja Suomessa on kuvattu artikkelissa tietosuojaseuraamukset Suomessa ja NIS2:n porrastus artikkelissa NIS2:n keskeiset ja tärkeät toimijat.
Asetuksen teksti on luettavissa EUR-Lexissä ja kansallinen ohjeistus Finanssivalvonnan sivustolla.
Näin valmistaudut valvontaan
- Tietorekisteri ajan tasalle. Se on ensimmäinen pyydetty asiakirja ja paljastaa muut aukot.
- Johdon hyväksynnät pöytäkirjaan. 5 artiklan mukainen ylimmän johdon vastuu todennetaan dokumenteista, ei haastattelusta.
- Poikkeamien luokitteluohje kirjallisena. Ilman kynnysten dokumentointia et voi perustella, miksi jotain ei ilmoitettu.
- Testauskalenteri ja korjausten seuranta. Havainto ilman todennettua korjausta on löydös.
- Sopimusten aukkoanalyysi 30 artiklaa vasten. Vanhat sopimukset ovat yleisin puute.
- Irtautumissuunnitelmat kriittisille toimittajille. 42 artiklan skenaario ei ole teoreettinen.
Näiden ylläpito on jatkuvaa hallinnollista työtä, jota varten on DORA-compliance-ohjelmistoja: rekisteri, sopimusseuranta, testikalenteri ja auditointijälki samasta järjestelmästä.
Usein kysytyt kysymykset
Kuinka suuri DORA-sakko voi olla?
DORA ei aseta yhtenäistä kattoa finanssitoimijoille. 50 artiklan 4 kohdan mukaan seuraamuksista säädetään kansallisessa lainsäädännössä; Suomessa Finanssivalvonta soveltaa Finanssivalvonnasta annetun lain mukaisia rikemaksuja, julkisia varoituksia ja seuraamusmaksuja. Kriittisille ICT-palveluntarjoajille on sen sijaan asetuksessa oma uhkasakkosäännös.
Mikä on 1 %:n uhkasakko?
Se on päävalvojan keino pakottaa kriittinen ICT-palveluntarjoaja yhteistyöhön. Määrä on 1 % edellisen tilikauden keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta, ja sitä määrätään päivittäin enintään kuuden kuukauden ajan. Se ei kohdistu finanssitoimijaan.
Voiko Finanssivalvonta kieltää pilvipalvelun käytön?
Välillisesti kyllä. 42 artiklan nojalla toimivaltainen viranomainen voi vaatia finanssitoimijaa keskeyttämään tai päättämään sopimuksen kriittisen ICT-palveluntarjoajan kanssa, jos tämä ei noudata päävalvojan suosituksia. Siksi irtautumissuunnitelma on pakollinen osa toimittajahallintaa.
Julkaistaanko DORA-seuraamukset?
Lähtökohtaisesti kyllä. 54 artikla velvoittaa toimivaltaiset viranomaiset julkaisemaan hallinnolliset seuraamukset verkkosivustollaan. Julkaisua voidaan lykätä tai se voidaan tehdä anonyymisti, jos julkaiseminen olisi suhteeton tai vaarantaisi rahoitusmarkkinoiden vakauden taikka käynnissä olevan tutkinnan.
Siirtyykö vastuu pilvitoimittajalle, jos se on nimetty kriittiseksi?
Ei. 28 artiklan 1 kohdan mukaan finanssitoimija vastaa DORA-velvoitteidensa noudattamisesta koko ajan, myös ulkoistetuista toiminnoista. Valvontakehys on lisävalvontaa, ei vastuunsiirtoa.
Yhteenveto
DORA:n seuraamusrakenne on kaksijakoinen: finanssitoimijoille kansallinen seuraamusvalikoima Finanssivalvonnan käsissä, kriittisille ICT-palveluntarjoajille EU-tason valvontakehys ja 1 prosentin päiväkohtainen uhkasakko. Kummassakaan tapauksessa vastuu ei siirry toimittajalle. Valvontaan valmistautuminen tarkoittaa käytännössä viittä asiakirjaa: tietorekisteri, johdon hyväksynnät, poikkeamien luokitteluohje, testauskalenteri ja sopimusten aukkoanalyysi. Aloita rekisteristä – se on ensimmäinen, jota kysytään. Testausvelvoitteen yksityiskohdat: DORA-sietokykytestaus ja TLPT.
Viimeksi tarkistettu: heinäkuu 2026.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial